Pass-ta-key 공격: Windows의 Google 비밀번호 관리자 패스키를 악성코드가 어떻게 탈취하는가
2026년 8월 3일, Palo Alto Networks의 Unit 42가 Pass ta key, Silver Pass ta key, Golden Pass ta key 세 가지 공격 기법을 공개했습니다. 이 공격들은 WebAuthn 또는 FIDO2 암호화 자체를 깨뜨리지 않습니다.
2026년 8월 3일, Palo Alto Networks의 Unit 42가 Pass ta key, Silver Pass ta key, Golden Pass ta key 세 가지 공격 기법을 공개했습니다.
이 공격들은 WebAuthn 또는 FIDO2 암호화 자체를 깨뜨리지 않습니다. 대신 Chrome의 클라우드 인증기(cloud authenticator)와 기기 온보딩 워크플로우의 구현상 결함을 악용합니다.
가장 심각한 Golden Pass ta key 공격은 모든 동기화된 패스키를 암호화하는 마스터키인 보안 도메인 시크릿(SDS)을 Chrome 프로세스 메모리에서 추출합니다.
핵심 대응 방안으로는 YubiKey와 같은 하드웨어 보안 키를 패스키와 함께 등록하고, 고위험 사용자는 Google의 고급 보호 프로그램(Advanced Protection Program)을 활성화하며, 정기적으로 계정의 기기 목록을 감사하고, 정보 탈취 악성코드 감염 시 모든 자격 증명을 초기화해야 합니다.
What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkeyUnit 42 researchers demonstrated three attack techniques that exploit implementation flaws in Chrome's cloud authenticator and device onboarding workflows.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkey. Article summary: On August 3, 2026, Palo Alto Networks' Unit 42 disclosed three attack techniques — **Pass-ta-key**, **Silver Pass-ta-key**, and **Golden Pass-ta-key** — that allow malware already running with standard user privileges on. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
2026년 8월 3일, Palo Alto Networks의 위협 인텔리전스 부서인 Unit 42가 세 가지 공격 기법——Pass-ta-key, Silver Pass-ta-key, Golden Pass-ta-key——을 공개했습니다. 이 기법들은 이미 악성코드에 감염되어 일반 사용자 권한으로 실행 중인 Windows PC에서 Chrome의 Google 비밀번호 관리자(Google Password Manager)에 저장된 패스키(passkey)로 보호되는 계정을 조용히 탈취할 수 있게 합니다 . 어떤 공격도 WebAuthn 또는 FIDO2 암호화 자체를 깨뜨리지 않습니다. 이들은 Chrome의 클라우드 인증기(cloud authenticator)와 기기 온보딩 워크플로우의 구현상 결함을 악용합니다 .
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"Pass-ta-key 공격: Windows의 Google 비밀번호 관리자 패스키를 악성코드가 어떻게 탈취하는가"에 대한 짧은 대답은 무엇입니까?
2026년 8월 3일, Palo Alto Networks의 Unit 42가 Pass ta key, Silver Pass ta key, Golden Pass ta key 세 가지 공격 기법을 공개했습니다.
먼저 검증할 핵심 포인트는 무엇인가요?
2026년 8월 3일, Palo Alto Networks의 Unit 42가 Pass ta key, Silver Pass ta key, Golden Pass ta key 세 가지 공격 기법을 공개했습니다. 이 공격들은 WebAuthn 또는 FIDO2 암호화 자체를 깨뜨리지 않습니다. 대신 Chrome의 클라우드 인증기(cloud authenticator)와 기기 온보딩 워크플로우의 구현상 결함을 악용합니다.
실무에서는 다음으로 무엇을 해야 합니까?
가장 심각한 Golden Pass ta key 공격은 모든 동기화된 패스키를 암호화하는 마스터키인 보안 도메인 시크릿(SDS)을 Chrome 프로세스 메모리에서 추출합니다.
Pass-ta-key 공격: Windows의 Google 비밀번호 관리자 패스키를 악성코드가 어떻게 탈취하는가
2026년 8월 3일, Palo Alto Networks의 Unit 42가 Pass ta key, Silver Pass ta key, Golden Pass ta key 세 가지 공격 기법을 공개했습니다. 이 공격들은 WebAuthn 또는 FIDO2 암호화 자체를 깨뜨리지 않습니다.
2026년 8월 3일, Palo Alto Networks의 Unit 42가 Pass ta key, Silver Pass ta key, Golden Pass ta key 세 가지 공격 기법을 공개했습니다.
이 공격들은 WebAuthn 또는 FIDO2 암호화 자체를 깨뜨리지 않습니다. 대신 Chrome의 클라우드 인증기(cloud authenticator)와 기기 온보딩 워크플로우의 구현상 결함을 악용합니다.
가장 심각한 Golden Pass ta key 공격은 모든 동기화된 패스키를 암호화하는 마스터키인 보안 도메인 시크릿(SDS)을 Chrome 프로세스 메모리에서 추출합니다.
핵심 대응 방안으로는 YubiKey와 같은 하드웨어 보안 키를 패스키와 함께 등록하고, 고위험 사용자는 Google의 고급 보호 프로그램(Advanced Protection Program)을 활성화하며, 정기적으로 계정의 기기 목록을 감사하고, 정보 탈취 악성코드 감염 시 모든 자격 증명을 초기화해야 합니다.
What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkeyUnit 42 researchers demonstrated three attack techniques that exploit implementation flaws in Chrome's cloud authenticator and device onboarding workflows.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: What three "Pass-ta-key" techniques did Palo Alto Networks' Unit 42 discover that allow malware on compromised Windows PCs to hijack passkey. Article summary: On August 3, 2026, Palo Alto Networks' Unit 42 disclosed three attack techniques — **Pass-ta-key**, **Silver Pass-ta-key**, and **Golden Pass-ta-key** — that allow malware already running with standard user privileges on. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
openai.com
2026년 8월 3일, Palo Alto Networks의 위협 인텔리전스 부서인 Unit 42가 세 가지 공격 기법——Pass-ta-key, Silver Pass-ta-key, Golden Pass-ta-key——을 공개했습니다. 이 기법들은 이미 악성코드에 감염되어 일반 사용자 권한으로 실행 중인 Windows PC에서 Chrome의 Google 비밀번호 관리자(Google Password Manager)에 저장된 패스키(passkey)로 보호되는 계정을 조용히 탈취할 수 있게 합니다 . 어떤 공격도 WebAuthn 또는 FIDO2 암호화 자체를 깨뜨리지 않습니다. 이들은 Chrome의 클라우드 인증기(cloud authenticator)와 기기 온보딩 워크플로우의 구현상 결함을 악용합니다 .
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"Pass-ta-key 공격: Windows의 Google 비밀번호 관리자 패스키를 악성코드가 어떻게 탈취하는가"에 대한 짧은 대답은 무엇입니까?
2026년 8월 3일, Palo Alto Networks의 Unit 42가 Pass ta key, Silver Pass ta key, Golden Pass ta key 세 가지 공격 기법을 공개했습니다.
먼저 검증할 핵심 포인트는 무엇인가요?
2026년 8월 3일, Palo Alto Networks의 Unit 42가 Pass ta key, Silver Pass ta key, Golden Pass ta key 세 가지 공격 기법을 공개했습니다. 이 공격들은 WebAuthn 또는 FIDO2 암호화 자체를 깨뜨리지 않습니다. 대신 Chrome의 클라우드 인증기(cloud authenticator)와 기기 온보딩 워크플로우의 구현상 결함을 악용합니다.
실무에서는 다음으로 무엇을 해야 합니까?
가장 심각한 Golden Pass ta key 공격은 모든 동기화된 패스키를 암호화하는 마스터키인 보안 도메인 시크릿(SDS)을 Chrome 프로세스 메모리에서 추출합니다.
이 기법은 디스크의 로컬 passkey_enclave_state 파일에서 Chrome의 TPM(Trusted Platform Module)으로 래핑된 기기 식별 키를 추출한 후, 이 키를 정당한 Windows CNG API 호출을 통해 재사용(replay)하여 공격자가 제어하는 요청을 서명합니다. 이 과정을 통해 피해자 화면에 생체 인식이나 PIN 입력 창이 전혀 나타나지 않은 상태에서 유효한 WebAuthn 어설션(assertion)이 생성됩니다. 이 공격은 인증 데이터(Authenticator Data)의 User Verified(UV) 플래그를 서버 측에서 검증하지 않는 웹사이트(Relaying Party)에 대해서만 성공합니다 .
악용하는 점: 클라우드 인증기가 로컬에 저장된 기기 식별 키를 신뢰하는 점, 그리고 일부 웹사이트가 사용자 확인을 강제하지 않는 점.
Silver Pass-ta-key
이 기법은 로컬 passkey_enclave_state 파일을 삭제하거나 무효화하여 Chrome이 기기를 다시 온보딩(re-onboard)하도록 강제함으로써 사용자 확인(UV) 강제 조치를 무력화합니다. 재온보딩 과정에서 Chrome이 지연된 흐름(deferred flow)으로 사용자 확인(UV) 키를 일시적으로 생성하는데, 공격자는 이 짧은 시간 내에 자신의 UV 키를 등록합니다. Google의 클라우드 인증기는 새 키에 대한 증명(attestation)을 검증하지 않으므로, 이 키로 서명된 어설션은 UV 플래그가 1로 설정되어 전송됩니다. 이는 UV를 강제하는 사이트조차 우회할 수 있음을 의미합니다. 공격자는 자신의 기기에서 지속적이고 재사용 가능한 접근 권한을 얻습니다. 피해자의 기기가 더 이상 온라인 상태일 필요가 없습니다 .
악용하는 점: 기기 재온보딩 시 증명(attestation) 검증이 없다는 점, 그리고 격리 상태 파일(passkey_enclave_state)을 삭제하는 데 아무런 보호 장치가 없다는 점.
Golden Pass-ta-key (심각, Critical)
이 기법은 동일한 재온보딩 흐름을 유발한 후, Chrome의 프로세스 메모리를 덤프하여 보안 도메인 시크릿(Security Domain Secret, SDS) 을 복구합니다. SDS는 피해자 Google 계정에 동기화된 모든 패스키를 암호화하는 32바이트 대칭키입니다. 공격자는 SDS를 확보하면 기존 및 향후 동기화되는 모든 패스키의 개인 키를 복호화할 수 있어, 해당 패스키로 보호되는 모든 서비스에 대한 완전한 계정 장악(Total Account Takeover)이 가능합니다. Unit 42의 제보 이후 Google은 Chrome의 chrome://device-log/FIDO 출력에서 SDS가 평문으로 기록되던 문제를 제거했지만, 온보딩 흐름 중 Chrome 프로세스 메모리에 SDS가 평문으로 노출되는 문제는 여전히 남아 있습니다 .
악용하는 점: 온보딩 흐름 중 Chrome 프로세스 메모리에 SDS가 평문으로 존재한다는 점.
영향을 받은 사이트
기본 Pass-ta-key 공격은 UV 플래그를 검증하지 않는 모든 웹사이트(Relaying Party)에 대해 작동합니다. Unit 42는 eBay가 이러한 검증을 수행하지 않는 사이트 중 하나임을 확인했으며, eBay는 이후 이 문제를 수정했습니다 . 연구원들은 "놀랍게도 많은" 웹사이트가 등록 시 userVerification: "required"를 요청하면서도, 반환된 UV 비트를 실제로 검증하지는 않는다고 지적했습니다 .
마스터키(SDS) 탈취의 위험성
SDS는 사용자 Google 계정의 모든 동기화된 패스키를 위한 마스터키 역할을 하는 32바이트 비밀입니다. SDS가 유출되면 다음과 같은 일이 발생합니다:
기존에 동기화된 모든 패스키의 개인 키를 복호화할 수 있으며, 이후 새로 동기화되는 모든 패스키도 읽을 수 있습니다 .
공격자는 피해자의 추가 상호 작용 없이 Gmail을 포함한 모든 패스키 보호 계정에 인증할 수 있습니다 .
공격자가 Gmail에 접근하면 이메일 비밀번호 재설정 기능을 통해 다른 연동 서비스의 비밀번호를 초기화할 수 있으므로, 피해 범위(Blast Radius)는 직접적으로 침해된 서비스를 훨씬 넘어 확장됩니다 .
SDS를 교체(로테이션)할 수 있는 내장 메커니즘이 전혀 없습니다. Google은 사용자가 새로운 SDS를 생성할 방법을 제공하지 않습니다 .
권장 대응 방안
Unit 42의 연구 결과와 관련 보도에 기반한 주요 대응 방안은 다음과 같습니다:
최소 하나의 하드웨어 보안 키(예: YubiKey)를 동기화된 패스키와 함께 등록하십시오. 기기에 바인딩된 자격 증명(Device-bound credential)은 클라우드에 동기화되지 않으며, Chrome의 enclave 상태에 포함되지 않고, 메모리에서 읽을 수 없습니다 .
고위험 사용자(언론인, 임원, 활동가, 시스템 관리자)는 Google의 고급 보호 프로그램(Advanced Protection Program)을 켜십시오. 이 프로그램은 보안 키 또는 기기 바인딩 패스키 사용을 의무화하고 계정 복구 경로를 강화합니다 .
매월 Google 계정의 기기 목록을 감사하고 인식할 수 없는 세션을 제거하십시오.
정보 탈취형 악성코드(infostealer) 감염은 완전한 자격 증명 초기화 사건으로 간주하십시오. 복구 후, 깨끗한 기기에서 시스템을 재구축하고 모든 패스키를 다시 등록하십시오 .
웹사이트 운영자(Relaying Party)는 서버 측에서 UV 플래그를 반드시 검증하고, 민감한 작업에는 userVerification을 "preferred"가 아닌 "required"로 설정해야 합니다.
현재 상태
2026년 8월 3일 기준으로, 이 취약점들에는 아직 CVE 번호가 할당되지 않았습니다. Google은 Silver 또는 Golden 공격 경로를 직접 수정할 것인지에 대해 공식적으로 확인하지 않았습니다 .
etvbharat.comGoogle Passkeys Can Be Hacked Without Fingerprint Or PIN, Researchers Warn
이 기법은 디스크의 로컬 passkey_enclave_state 파일에서 Chrome의 TPM(Trusted Platform Module)으로 래핑된 기기 식별 키를 추출한 후, 이 키를 정당한 Windows CNG API 호출을 통해 재사용(replay)하여 공격자가 제어하는 요청을 서명합니다. 이 과정을 통해 피해자 화면에 생체 인식이나 PIN 입력 창이 전혀 나타나지 않은 상태에서 유효한 WebAuthn 어설션(assertion)이 생성됩니다. 이 공격은 인증 데이터(Authenticator Data)의 User Verified(UV) 플래그를 서버 측에서 검증하지 않는 웹사이트(Relaying Party)에 대해서만 성공합니다 .
악용하는 점: 클라우드 인증기가 로컬에 저장된 기기 식별 키를 신뢰하는 점, 그리고 일부 웹사이트가 사용자 확인을 강제하지 않는 점.
Silver Pass-ta-key
이 기법은 로컬 passkey_enclave_state 파일을 삭제하거나 무효화하여 Chrome이 기기를 다시 온보딩(re-onboard)하도록 강제함으로써 사용자 확인(UV) 강제 조치를 무력화합니다. 재온보딩 과정에서 Chrome이 지연된 흐름(deferred flow)으로 사용자 확인(UV) 키를 일시적으로 생성하는데, 공격자는 이 짧은 시간 내에 자신의 UV 키를 등록합니다. Google의 클라우드 인증기는 새 키에 대한 증명(attestation)을 검증하지 않으므로, 이 키로 서명된 어설션은 UV 플래그가 1로 설정되어 전송됩니다. 이는 UV를 강제하는 사이트조차 우회할 수 있음을 의미합니다. 공격자는 자신의 기기에서 지속적이고 재사용 가능한 접근 권한을 얻습니다. 피해자의 기기가 더 이상 온라인 상태일 필요가 없습니다 .
악용하는 점: 기기 재온보딩 시 증명(attestation) 검증이 없다는 점, 그리고 격리 상태 파일(passkey_enclave_state)을 삭제하는 데 아무런 보호 장치가 없다는 점.
Golden Pass-ta-key (심각, Critical)
이 기법은 동일한 재온보딩 흐름을 유발한 후, Chrome의 프로세스 메모리를 덤프하여 보안 도메인 시크릿(Security Domain Secret, SDS) 을 복구합니다. SDS는 피해자 Google 계정에 동기화된 모든 패스키를 암호화하는 32바이트 대칭키입니다. 공격자는 SDS를 확보하면 기존 및 향후 동기화되는 모든 패스키의 개인 키를 복호화할 수 있어, 해당 패스키로 보호되는 모든 서비스에 대한 완전한 계정 장악(Total Account Takeover)이 가능합니다. Unit 42의 제보 이후 Google은 Chrome의 chrome://device-log/FIDO 출력에서 SDS가 평문으로 기록되던 문제를 제거했지만, 온보딩 흐름 중 Chrome 프로세스 메모리에 SDS가 평문으로 노출되는 문제는 여전히 남아 있습니다 .
악용하는 점: 온보딩 흐름 중 Chrome 프로세스 메모리에 SDS가 평문으로 존재한다는 점.
영향을 받은 사이트
기본 Pass-ta-key 공격은 UV 플래그를 검증하지 않는 모든 웹사이트(Relaying Party)에 대해 작동합니다. Unit 42는 eBay가 이러한 검증을 수행하지 않는 사이트 중 하나임을 확인했으며, eBay는 이후 이 문제를 수정했습니다 . 연구원들은 "놀랍게도 많은" 웹사이트가 등록 시 userVerification: "required"를 요청하면서도, 반환된 UV 비트를 실제로 검증하지는 않는다고 지적했습니다 .
마스터키(SDS) 탈취의 위험성
SDS는 사용자 Google 계정의 모든 동기화된 패스키를 위한 마스터키 역할을 하는 32바이트 비밀입니다. SDS가 유출되면 다음과 같은 일이 발생합니다:
기존에 동기화된 모든 패스키의 개인 키를 복호화할 수 있으며, 이후 새로 동기화되는 모든 패스키도 읽을 수 있습니다 .
공격자는 피해자의 추가 상호 작용 없이 Gmail을 포함한 모든 패스키 보호 계정에 인증할 수 있습니다 .
공격자가 Gmail에 접근하면 이메일 비밀번호 재설정 기능을 통해 다른 연동 서비스의 비밀번호를 초기화할 수 있으므로, 피해 범위(Blast Radius)는 직접적으로 침해된 서비스를 훨씬 넘어 확장됩니다 .
SDS를 교체(로테이션)할 수 있는 내장 메커니즘이 전혀 없습니다. Google은 사용자가 새로운 SDS를 생성할 방법을 제공하지 않습니다 .
권장 대응 방안
Unit 42의 연구 결과와 관련 보도에 기반한 주요 대응 방안은 다음과 같습니다:
최소 하나의 하드웨어 보안 키(예: YubiKey)를 동기화된 패스키와 함께 등록하십시오. 기기에 바인딩된 자격 증명(Device-bound credential)은 클라우드에 동기화되지 않으며, Chrome의 enclave 상태에 포함되지 않고, 메모리에서 읽을 수 없습니다 .
고위험 사용자(언론인, 임원, 활동가, 시스템 관리자)는 Google의 고급 보호 프로그램(Advanced Protection Program)을 켜십시오. 이 프로그램은 보안 키 또는 기기 바인딩 패스키 사용을 의무화하고 계정 복구 경로를 강화합니다 .
매월 Google 계정의 기기 목록을 감사하고 인식할 수 없는 세션을 제거하십시오.
정보 탈취형 악성코드(infostealer) 감염은 완전한 자격 증명 초기화 사건으로 간주하십시오. 복구 후, 깨끗한 기기에서 시스템을 재구축하고 모든 패스키를 다시 등록하십시오 .
웹사이트 운영자(Relaying Party)는 서버 측에서 UV 플래그를 반드시 검증하고, 민감한 작업에는 userVerification을 "preferred"가 아닌 "required"로 설정해야 합니다.
현재 상태
2026년 8월 3일 기준으로, 이 취약점들에는 아직 CVE 번호가 할당되지 않았습니다. Google은 Silver 또는 Golden 공격 경로를 직접 수정할 것인지에 대해 공식적으로 확인하지 않았습니다 .
etvbharat.comGoogle Passkeys Can Be Hacked Without Fingerprint Or PIN, Researchers Warn
